Sebuah pesan tidak membutuhkan keduanya SPF Dan DKIM untuk menghasilkan tingkat pesan DMARC lulus. Dibutuhkan setidaknya satu jalur kualifikasi: SPF harus lulus dan selaras, atau setidaknya satu jalur tanda tangan DKIM harus lulus dan menyelaraskan.
Aturan itu mudah untuk disederhanakan. Pass tingkat pesan tidak sama dengan penerapan autentikasi domain lengkap. Hal ini juga tidak mengesampingkan persyaratan penyedia kotak surat terpisah yang mungkin mengharuskan pengirim mengonfigurasi SPF dan DKIM . Pertahankan hasil protokol, program pengiriman, dan persyaratan penyedia sebagai tiga keputusan terpisah.
Terapkan aturan Boolean dengan benar
Untuk pesan yang disusun dengan baik dengan kebijakan valid yang berlaku dan pemeriksaan yang telah selesai, RFC 9989 §5.3.5 memberikan aturan validasi tingkat pesan:
Tiket DMARC = ( Tiket SPF DAN identitas SPF sejajar) ATAU (tanda tangan DKIM lolos DAN d= domainnya sejajar)Kata ATAU penting. Cabang mana pun dapat memenuhi kondisi tingkat pesan. Kata AND penting di dalam setiap cabang. Pass otentikasi mentah tanpa penyelarasan tidak memuaskannya.
Penyelarasan membandingkan domain yang diautentikasi dengan Domain Penulis di Dari. Mode ketat memerlukan kesetaraan yang tepat di bawah RFC 9989 §3.2.10.2. Mode santai menggunakan hubungan penemuan RFC 9989 §4.10.2.
Bandingkan ketiga kasus penting tersebut
Contoh fiksi berikut menggunakan From orders@example.com. Itu adalah kasus pengajaran sintetis, bukan menangkap lalu lintas pelanggan.
- Kasus: A; SPF : Lulus misalnya example.com , selaras; DKIM : Gagal; Hasil DMARC : Lulus; Alasan: Cabang SPF memenuhi syarat
- Kasus: B; SPF : Gagal; DKIM : Lulus dengan d=example.com, selaras; Hasil DMARC : Lulus; Alasan: Cabang DKIM lolos
- Kasus: C; SPF : Lulus untuk vendor.example.net , tidak selaras; DKIM : Lulus dengan d=vendor.example.net, tidak selaras; Hasil DMARC : Gagal; Alasan: Tidak ada cabang yang memenuhi syarat
Kasus A menunjukkan mengapa kegagalan DKIM tidak secara otomatis berarti kegagalan DMARC . Kasus B menunjukkan mengapa penerusan yang mengganggu SPF masih dapat meninggalkan jalur DKIM yang selaras. Kasus C menunjukkan mengapa dua hasil mentah berwarna hijau masih dapat menghasilkan kegagalan DMARC .
Jangan menganggap contoh-contoh ini sebagai target desain. Hanya bergantung pada jalur amplop yang bisa menjadi rapuh ketika pesan diteruskan. Bergantung hanya pada DKIM bisa menjadi rapuh ketika perantara mengubah konten yang ditandatangani. Ketahanan biasanya berasal dari konfigurasi kedua mekanisme dengan benar, lalu memverifikasi perilaku pesan yang sebenarnya.
Bedakan validasi dari partisipasi penuh
Validasi tingkat pesan menjawab apakah pesan yang diterima memiliki setidaknya satu jalur yang selaras. Program domain yang matang mengajukan pertanyaan yang lebih luas: apakah pesan-pesan yang sah tercakup secara konsisten, apakah kedua mekanisme diterapkan sesuai kebutuhan, apakah kebijakan sesuai, apakah laporan ditinjau, dan apakah pemilik operasional memperbaiki pengecualian?
RFC 9989 juga mendefinisikan partisipasi penuh untuk suatu domain secara lebih luas daripada hasil validasi satu pesan. Secara khusus, penolakan penerbitan domain TIDAK HARUS hanya mengandalkan SPF dan HARUS menerapkan tanda tangan DKIM yang valid di bawah RFC 9989 §7.4. Partisipasi penuh ditentukan dalam RFC 9989 §8. Jangan mengubah aturan OR pada tingkat pesan menjadi saran bahwa satu mekanisme dapat diabaikan di seluruh organisasi.
Perbedaan yang sama juga penting ketika penyedia kotak surat menerbitkan persyaratan pengirim. Misalnya, Pedoman pengirim Google memerlukan pengaturan SPF , DKIM , dan DMARC pengirim massal ke akun Gmail pribadi. Penyedia mungkin mengharuskan SPF dan DKIM dikonfigurasikan untuk kategori pengirim meskipun validasi DMARC untuk pesan tertentu masih menggunakan aturan jalur selaras. Kegagalan untuk memenuhi persyaratan terpisah penyedia tidak dapat dibantah dengan mengutip ekspresi Boolean DMARC .
Diagnosis cabang yang gagal sebelum mengubah kebijakan
Ketika pesan yang sah gagal DMARC , tangkap:
- Bukti: Dari domain; Pertanyaan: Domain Penulis manakah yang dilindungi?
- Bukti: Hasil SPF dan domain yang dievaluasi; Pertanyaan: Apakah jalur amplopnya lewat, dan sejajar?
- Bukti: Setiap hasil DKIM dan d= domain; Pertanyaan: Apakah ada tanda tangan yang lolos dan selaras?
- Bukti: Mode penyelarasan; Pertanyaan: Apakah perbandingan ketat atau santai diterapkan?
- Bukti: Hasil penerima terpercaya; Pertanyaan: Di manakah kesimpulan itu dihasilkan?
Kemudian perbaiki cabang yang ingin digunakan pengirim. Untuk SPF , hal itu mungkin melibatkan domain amplop khusus dan jalur pengiriman resmi. Untuk DKIM , hal ini mungkin melibatkan pengaktifan penandatanganan dengan domain organisasi dan memverifikasi pesan yang diterima perwakilan. Jangan melemahkan kebijakan hanya karena tabel identitas belum tersusun.
Memahami surat tidak langsung
Seperti yang dijelaskan dalam RFC 7208 §10.3, penerusan sering kali mengubah sumber penghubung, sehingga SPF dapat gagal pada penerima akhir meskipun telah diteruskan lebih awal. Tanda tangan DKIM yang masih ada mungkin masih memberikan jalur yang memenuhi syarat. Perubahan pada konten yang ditandatangani dapat membuat DKIM di bawah tidak valid RFC 6376 §3.7, sedangkan perilaku perantara lainnya dapat memengaruhi kedua jalur.
DMARC tidak menjamin bahwa setiap aliran tidak langsung yang sah akan mempertahankan jalur yang memenuhi syarat. Evaluasi rute sebenarnya, bukti penerima, dan kebutuhan bisnis. Penerima juga dapat menerapkan kebijakan lokal dan bukti lain ketika memutuskan disposisi.
Hindari empat kesimpulan umum
Pertama, jangan katakan bahwa SPF dan DKIM harus lolos agar setiap pesan dapat lolos DMARC . Itu bukanlah aturan tingkat pesan.
Kedua, jangan mengatakan bahwa satu mekanisme saja sudah cukup untuk seluruh kelompok pengirim. Satu contoh saja tidak akan menghasilkan cakupan, ketahanan, atau partisipasi penuh.
Ketiga, jangan samakan pass dengan penempatan inbox. Otentikasi merupakan salah satu masukan untuk menerima keputusan.
Keempat, jangan samakan kegagalan dengan penipuan yang terbukti. Layanan yang sah dapat salah dikonfigurasi, sementara domain milik penyerang dapat mengautentikasi emailnya sendiri.
Gunakan panduan rantai identitas email untuk mengumpulkan bukti dan Panduan SPF , DKIM dan DMARC untuk menempatkan hasilnya dalam program yang lebih luas.
Pertahankan kesimpulan dalam bukti
Untuk perlengkapan Boolean, evaluasi setiap cabang sebagai lulus DAN selaras sebelum menggabungkannya dengan OR. Tanda tangan yang gagal tidak dapat meminjam penyelarasan dari tanda tangan lain, dan izin SPF tidak dapat meminjam penyelarasan domain lain. Jika pemeriksaan DNS yang diperlukan gagal diselesaikan, RFC 9989 §5.3.6 memisahkan kesalahan itu dari hasil lulus/gagal normal. Tidak ada pemverifikasi sebenarnya yang dijalankan.